如何为AWS ECS Fargate动态Docker容器配置通配符SSL证书？

一、通配符SSL证书的最优部署方案 #

不需要在每个Docker容器中放置证书副本，这会带来极大的维护负担——证书过期更新时要同步修改所有容器，完全没必要。最优方案是将SSL终止层放在统一的代理节点，也就是你的Nginx服务器，仅在这一层部署单份*.example.com通配符证书即可。

所有*.example.com的请求会先抵达Nginx代理，在这里完成SSL解密，再转发到对应的Fargate容器。容器内部只需处理HTTP流量，无需关心SSL配置，大幅简化镜像构建和运维成本。

二、Nginx动态获取容器IP的实现方案 #

针对动态容器IP的问题，核心是实现服务发现+Nginx配置自动适配，结合你的AWS ECS Fargate和自建DNS架构，有两种可行方案：

方案1：自建DNS+Nginx动态解析 #

利用你已有的自建DNS服务，让Nginx在请求时实时解析子域名对应的容器IP，配置示例如下：

server {
    listen 443 ssl;
    server_name *.example.com;

    # 通配符证书配置
    ssl_certificate /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;

    # 指向你的自建DNS服务器，设置短TTL保证IP更新时效性
    resolver ns1.example.com valid=30s;

    # 动态解析子域名并转发请求
    location / {
        proxy_pass http://$host;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

这种方式下，Nginx会在每次请求时通过自建DNS解析对应子域名的容器IP，30秒的TTL可以保证容器销毁/重建后IP更新的及时性，无需手动修改Nginx配置。

方案2：数据库驱动的Nginx配置自动更新 #

如果你的容器IP已经存储在数据库中，可以通过脚本实现配置自动生成与重载：

1. 编写Python/Shell脚本，定期从数据库读取子域名与容器IP的映射关系，生成对应的Nginxserver块配置。
2. 脚本执行完成后，发送nginx -s reload信号让Nginx加载新配置。
3. 可以将脚本设为定时任务，或者监听数据库变更事件（如触发器），实时触发配置更新。

示例生成的Nginx配置片段：

server {
    listen 443 ssl;
    server_name project1.example.com;
    ssl_certificate /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;

    location / {
        proxy_pass http://10.0.0.123:80;
        proxy_set_header Host $host;
    }
}

server {
    listen 443 ssl;
    server_name project2.example.com;
    ssl_certificate /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;

    location / {
        proxy_pass http://10.0.0.456:80;
        proxy_set_header Host $host;
    }
}

该方案适合对性能要求极高的场景，避免了每次请求的DNS解析开销，但需要额外维护配置生成脚本。

三、额外优化建议 #

• 可以考虑用AWS ALB（应用负载均衡器）替代自建Nginx，ALB支持通配符证书，且能直接与ECS Fargate集成，自动发现容器IP，省去自建Nginx的运维成本。
• 证书更新时，仅需在代理层替换证书并重启Nginx（或更新ALB证书），所有容器无需任何改动。
• 容器内部服务监听0.0.0.0，仅暴露80端口即可，无需处理SSL相关逻辑。

内容的提问来源于stack exchange，提问作者Piyush Garg